Keycloakを使ってAPI GatewayでAPIをアクセス制限する - Qiita

今日やること アドベンド19日目は、API Gatewayを使ったアクセス制限（認可）をやります。スマホアプリ向けAPIサーバーを、どう防御するかという話です。１日で書きたかったので、かなり長い記事になってしまいました。 API Gatewayとは何か？ 例えばあなたが何かWebサービスを作って公開するとしよう。jspや(xがない)aspのような昔ながらのWebアプリケーションでもいいが、今風にサービスのやることはREST APIの公開だけにしよう。さて、このAPIは誰でも使っていいものだろうか？ もちろんそんなことはなく、使える人には制限がいるだろう... 認証は必要そうだ。しかしAPIは通常（認証した人）誰でも等しく使っていいことは無く、○○APIは誰でも可だが××APIは特定の人だけ使用可、とするのが一般的だ。...つまりアクセス制限（認可）がいる。 別に俺流認可でもいいが、どうせな